六、合规管理有效性评价标准的案例分析 本文拟以二个FCPA执法案件为切入点，来进一步探讨合规计划有效性评价标准的具体运用。 （一）无效的反腐败合规计划-以西门子案为例的分析 1、案件事实 西门子案是反腐败和合规领域的重要里程碑性案件。从1990年代中期开始，西门子公司进行了系统性伪造其公司账簿和记录，并故意不实施和规避现有的内部控制制度。从2001年3月12日在纽约证券交易所上市到2007年，为了获得联合国石油换食品计划项目、委内瑞拉城市轨道交通项目等，西门子股份公司通过各种途径总共支付贿赂款大约13.6亿美元。美国司法部代理总检察长马修·弗里德里希（Matthew Friedrich）说，“今天的文件清楚地表明，对于全球范围内的许多业务，贿赂是西门子的标准操作程序。”  [1]最终，美国司法部，美国证券交易委员会和慕尼黑检察官办公室提起的刑事和民事诉讼，西门子公司支付总计超过16亿美元的罚款，罚金和没收利润，这创下了当年国际反腐败案件的最大处罚金额记录。自2011年以来，在与西门子案相关的25名前高管和雇员中，有16个人被判处违反信托罪而受到制裁。 2、对合规管理有效性的法律分析 在起诉中，美国执法机构强调了西门子松懈的合规职能和内部控制导致了公司在全球开展业务中出现广泛的贿赂行为。[2]结合相关法律和指南的规定，具体分析如下， （1）西门子的合规计划是否有效。 根据美国《反海外腐败法》的规定，“合规计划的存在本身并不足以证明司法部不向公司指控其高管，董事，雇员或代理商所犯的不当行为。” [3]尽管有效的合规计划不是法定的减缓情节，但执法机构会在是否发起调查、谈判认罪协议和其它协议[4]、是否进行金钱处罚[5]、决定非诉讼解决方案中的合规义务[6]方面起到很大作用。 根据2020年7月发布的《FCPA指引》，[7]美国执法机构在考察企业的合规计划有效性的标准包括如下三个方面， 一是形式评估-公司的合规计划设计得当吗？ 这一判断标准包括了A.风险评估、B.政策和程序、C.培训与交流、D.保密报告的结构和调查过程、E.第三方管理、F.并购。[8] 在本案中，西门子公司在1999年之前，公司在其项目成本计算表中增加了通用税的科目，这被公司许多雇员部分理解为“贿赂”的另一个称呼，变相将贿赂合理地植入公司的管理程序，体现了纵容贿赂的企业文化。而且，公司也没有对各级员工进行反腐败和防止贿赂外国政府官员的适当培训。总之，经调查，公司完全没有制定将合规文化纳入其日常运营的政策和程序。同时，调查发现，公司在阿根廷和委内瑞拉通过中介机构向所在国政府官员行贿，这表明与公司有业务关系的第三方实际上充当了公司行贿的工具，违反了E项对第三方的管理。 所以，司法部认为，西门子公司的合规计划并不满足设计合理性的标准。 二是执行评估-是否认真，真诚地实施该计划？ 这项标准的具体在于“公司是否提供了足够的人员来审核，记录，分析和利用公司合规工作的结果”、“公司的员工是否充分了解合规计划，并确信公司对此有承诺”[9]包括A项高层管理人员的承诺、B项自治与资源、C项激励和纪律措施。 第一、不满足A项高层管理人员的承诺。 西门子高级管理人员没有对公司贿赂行为表明合规的立场，纵容和任由贿赂行为在公司蔓延。“.... 检察官应检查高层管理人员在多大程度上清楚地阐明了公司的道德标准，以清晰明确的方式传达和传播了这些道德标准，并以身作则表现出了严格的遵守。检察官还应研究中层管理人员又如何加强了这些标准并鼓励员工遵守这些标准。”西门子公司的高管没有履行反腐败的承诺。 第二、不满足B项自治与资源。 直到2001年，公司才设立了公司合规官职位，并将其合规计划扩展到反腐败事务。但是，公司合规官却是个兼职的职位，直到2004年，公司只有两名律师从事相关事务。B项规定“有效的实施还要求负责合规计划的日常监督的人员以足够的权限和地位行事。作为门槛，检察官应评估合规计划的结构。此外，检察官应处理合规职能内人员和资源的充足性，特别是负责合规的人员是否具有：（1）组织内足够的资历；（2）足够的资源，即人员，以有效地进行必要的审核，记录和分析；（3）管理层赋予足够的自治权，例如直接接触董事会或董事会的审核委员会。但是，每个因素的充分性将取决于特定公司的规模，结构和风险状况。“大型组织通常应投入更多的正式运营和更多的资源......比一个小组织要大。”相比之下，“一个小型组织可能[依赖]较少的形式和较少的资源。”。无论如何，要使合规计划真正有效，就必须在公司内部授权合规人员。”[10] 第三、不满足C项激励和纪律措施。 即便在全球遇到了各种贿赂官司后，西门子公司既没有针对相关人员进行调查也没有采取纪律行动。“有效执行合规计划的另一个标志是建立对合规行为的激励措施和不合规行为的处罚措施。检察官应评估公司是否有明确的纪律处分程序，在整个组织内一致执行这些纪律程序，并确保该程序与违规行为相称。检察官还应评估公司将有关信息传达给员工的程度，即不容忍不道德行为，并且将迅速造成后果，无论从事该行为的员工的职位或职务如何。”[11] 三是效果评估-公司的合规计划有效吗？ 在实践中有效运行的合规计划的标志是公司能够在多大程度上对不当行为的原因进行彻底分析，并通过采取及时适当措施予以补救和解决。因此，针对上述西门子在全球市场的贿赂历史和公司合规治理情况，美国司法部认定公司的合规计划无效，并没有发挥实际上阻止贿赂的作用。 （2）后续的改进措施 在接受美国执法机构处罚后，西门子痛定思痛采取大量的措施，重构了公司的合规体系。在进行了一次全面的调查之后，包括采访了数千名员工并检查了数百万份文件，西门子在建立合规计划和诚信文化方面采取了以下措施， 更换高层管理人员。公司聘请了具有强大公司治理和合规背景的经验丰富的人员来替换其高级管理人员，包括首席执行官，总顾问，首席审计官和首席合规官。此外，公司在监事会内部建立了合规委员会，并由总法律顾问，劳工总监，首席合规官，人力资源主管，以及发生违规行为的其他业务部门负责人组成。 增加对合规职能和报告线的支持。西门子授予合规职能的报告可以直接给最高管理层，将全球合规员工人数增加到600人。该公司还成立了由前刑警领导的合规调查部门和由前专业服务公司调查负责人领导的法律审计部门。 更加注重培训和沟通。公司采用各种方法建立了培训计划，包括对高级管理人员，合规官，具有签字权的员工以及负责与政府官员打交道的个人进行专门培训。培训计划中包括强有力的反合规计划和反腐败手册等。该公司还创建了一个反腐败工具包，详细介绍了用于实施合规计划的控制措施。 监察员计划和合规性服务台。公司建立了一个保密的匿名监察员计划，以处理个人（包括可能不想直接与公司联系的员工和第三方）的投诉。该公司聘请了一家著名律师事务所的律师担任外部监察员。此外，该公司还建立了一个匿名的匿名服务台，可以通过电子邮件，电话和其他方式以七天24小时无间断和150种语言以解决问题和举报不当行为。 增强的内部控制。公司还制定了有关内部控制的新政策，包括： 加强对公司银行账户的监控；明确禁止以员工或第三方名义持有的公司资金；加强支付和其他交易签名授权的规则；加强对现金透支的限制；使用自动化和数据保证流程作为进一步控制。 加强尽职调查和监控。鉴于公司与顾问，代理商和其他业务合作伙伴之间的问题，公司实施了更严格的审查和尽职调查流程，包括对支付给此类人员的款项实行更严格的控制。该公司还为其供应商制定了新的行为准则强调合规并禁止贿赂和腐败。[12] 综上所述，透过美国司法部和证交会对西门子跨国贿赂案件的执法过程，有助于对合规计划在反腐败治理中的定位和价值做更为深入的考察和理解。一方面，如果私人企业没有制定和实施有效的合规计划预防反腐败犯罪，通常将受到各国执法机构的严厉处罚。而另一方面，如果该企业在处罚后能够积极弥补和完善有效的合规计划，仍可以得到执法机构的减轻处理。简言之，在国际反腐败治理中，保证合规管理体系的有效性是检验能否实现预防犯罪刑事策略的起点和终点。 （二）有效的反腐败合规计划-以摩根士丹利案为例的分析 这是一个特殊的案例，因为它代表有效的合规计划可以免除公司所有责任的原则。 1、案件事实 根据法院文件显示，摩根士丹利（Morgan Stanley）的中国区董事总经理加思·彼得森（Garth Peterson）与他人合谋通过虚假称述方式规避了摩根士丹利的内部控制系统，将价值数百万美元的房产所有权权益转让给自己和与一名摩根士丹利有业务关系并与他有个人关系的中国公职人员。由于售价要比该房产的实际市场价值低很多，几个个同谋者立即赚得超过250万美元的账面利润。自彼得森及其同谋取得该房地产权益以来，该房地产权益持续升值，他们定期收取股份分红。在2012年，美国司法部调查并指控其违反FCPA时，彼得森认罪。[13] 2、法律分析 美国司法部同意“没有合规计划能够阻止公司员工的所有犯罪活动”，[14]但必须对公司的合规计划的有效性进行评估来作为确定公司的责任的依据之一。评估的关键因素是该程序是否经过适当设计以最大程度地防止和发现员工的不当行为，以及公司管理层是否正在执行该程序，或者默许鼓励或迫使员工从事不端行为以实现业务目标。尽管司法部对公司合规计划没有明确的要求，但明确应考虑的因素来评估合规计划的全面性。 （1）不当行为。刑事不当行为的程度和普遍性；所涉及的公司雇员的数量和级别；不当行为的严重性，持续时间和频率。 （2）补救措施。以及公司采取的任何补救措施，包括，例如，合规计划发现的针对过去违规者的纪律处分，以及根据吸取的经验教训对公司合规计划进行的修订。[15]检察官还应考虑披露任何不当行为是否及时地提交给政府。 （3）公司治理机制。在评估合规计划时，检察官可以考虑公司是否建立了可以有效检测和防止不当行为的公司治理机制。例如，公司董事是否对提议的公司行动进行独立审查，而不是毫无疑问地批准高管人员的建议？内部审计职能的执行水平足以确保其独立性和准确性；董事们决定在组织中建立了合理的信息和报告系统，旨在为管理层和董事们提供及时，准确的信息，以使他们能够就组织是否遵守法律做出知情的决定。[16] （4）合规资源的投入。检察官应确定公司是否提供了足够的人员来审核，记录，分析和利用公司合规工作的结果。检察官还应确定公司的员工是否充分了解合规计划，并确信公司对该计划的承诺。 因此，执法机构应确定公司的合规计划仅仅是“纸面程序”还是有效地设计，实施，审查和修订（视情况而定）。当与其他联邦执法政策保持一致时，该程序可能会导致决定仅对公司的雇员和代理商进行处罚或减轻对公司的指控或制裁。[17] 在本案中，美国司法部在FCPA调查后认定摩根士丹利为了执行合规计划采取了如下措施：[18] 摩根士丹利投入了大量合规人员和相关资源。在2002年至2008年之间，摩根士丹利雇用了500名专门的合规人员，包括负责评估特定地区风险的区域合规人员。这些合规人员与董事会保持直接联系，并且首席法律顾问定期向首席执行官和高级管理委员会的成员报告。合规部门还负责起草和维护反腐败的政策和程序，并与全公司的业务部门进行协调，以提供与反腐败有关的咨询服务；对代理人进行持续评估；预结算涉及非美国政府官员的费用，并与外部律师合作对潜在的商业伙伴进行尽职调查。合规官还负责监视客户和员工的交易，并在高风险地区随机审计选定的人员，同时定期审计和测试业务部门。 制定了严格的反腐败政策。摩根士丹利的付款批准流程包括多层人员授权和审查，以确保交易符合管理层的授权并防止不当付款，其中包括赠送给外国政府官员的有价物品。公司的反腐败政策还依据FCPA解决了与礼品赠送，商务娱乐，旅行，住宿，餐饮，慈善捐款，和就业有关的各类风险。要求员工每年证明其行为遵守了《行为准则》（包含有关FCPA合规性的规定）。 配备了用于检测和防止不当付款的控制系统。这些控制措施要求多名员工参与批准摩根士丹利（Morgan Stanley）与外部公司或个人之间签订的各种合同中超出特定金额的任何付款。除非完成内部程序，否则无法支付高于这些金额的款项：熟悉项目活动的资产经理或收购团队成员起草了支付合同；初级资产经理或初级收购团队经理启动了付款流程并寻求批准，而副总裁或以上职位的高级官员资产经理或资产收购团队经理已经批准了付款。 注重培训。公司经常通过各种方法对员工进行FCPA培训，包括现场和网络培训演示。在2002年至2007年之间，摩根士丹利为亚洲员工进行了至少54次培训，包括彼得森接受了七次培训，包括在某些时候由全球诉讼负责人和反腐败小组全球负责人主持的培训。彼得森还收到了35项FCPA提醒，包括书面培训材料，通函，以及有关公司行为准则，礼物赠送和娱乐政策，全球反贿赂政策，顾问聘用指南，以及诸如奥运会之类的高风险赛事的政策。彼得森还多次证明他遵守《反海外腐败法》，并已记录在他的永久雇用记录中。除其他事项外，伊夫尔根·士丹利（Ivlorgan Stanley）还就中国国有实体的雇员可以成为FCPA之下的政府官员问题专门培训了彼得森。 合规热线。摩根士丹利提供每周7天，每天24小时的免费合规热线，其工作人员以每种主要语言进行现场沟通。 持续评估和改进。摩根士丹利不断评估和改进其合规计划和内部控制。2007年，公司开展了基于风险的审计，以发现非常规行为，定期的内部审计，案头审查以及合规人员与公司其他工作人员之间的会议，以讨论和发现违反FCPA的风险。合规人员还随时了解法规发展和不断变化带来的风险。最后，该公司聘请独立法律顾问每年进行一次年度正式审查。 基于上述调查结果，在《反海外腐败法》执行历史上，美国司法部首次拒绝对摩根士丹利公司提起任何诉讼，[19]并特别强调了摩根士丹利高质量的反腐败合规计划。总之，此案例为实施合规性计划的有效性提供了有力的论据。如前所述，在防止该公司对其一名雇员的行为承担进一步责任方面，该案是同类案件中的第一例。在同时期所有其他《反海外腐败法》案例中，包括涉及公司已经执行不同程度的合规计划的案例，公司通常只能得到减轻处罚的结果。但是，这个案例表明，被认定有效的合规计划可以阻止对公司及其股东追究刑事和民事责任。 七、中国企业进行合规管理有效性评价的建议 中国企业应充分考量自身风险防范的针对性等因素，从合规管理切实融入日常运营等方面入手，参考但不迷信美国等国家的评估标准框架及ISO37031 国际标准，结合我国企业的管理水平和运营的实际情况，探索一套有针对性和可操作性的合规管理有效性评价标准，助力企业合规管理水平的提升。为此，本文认为，有必要在以下几个重要方面提供一些参考建议。 1.重视风险评估在合规管理有效性评价工作的基础性价值。 各国法律法规均强调企业开展风险评估的重要性，可以说,风险评估是设计有效合规管理体系的基石。目前，许多企业的风险评估工作存在形式化和模板化，无法发挥其发现风险的效用，导致风险评估工作流于形式，合规管理制度的设计成为无本之木。所以，一方面，企业确保合规计划有效性的第一步,就是根据公司的商业模式、其所提供的产品或服务、经营地点、经营范围、竞争能力、第三方代理商、客户和合作伙伴等,进行识别和评估可能的违法犯罪的风险, 然后再制定有针对性的合规管理方案。因此,由于每个公司的特性不同,合规管理方案必然会有所不同。就如同企业管理一样,没有千篇一律的企业管理模式, 最有效的风险评估是企业根据自身情况去寻找答案。其二，企业需要根据内外部环境的变化持续更新风险评估内容, 根据企业的业务发展和行业监管要求等,阶段性、实时性地更新企业合规管理制度,以最大限度地预判企业的各类风险，制定有针对性的防控方案，为有效性评价工作奠定坚实的基础。其三，采用先进的风险评估的技术手段，提高风险评估的效率和水平。简言之，没有高效和针对性的风险评估，就难以保证合规管理制度设计的适宜性，更遑论合规管理的有效性。 2、合理设计合规管理有效性的评价指标体系。 合规构成要素是评价合规管理有效性的制度基础和重要工具，对合规管理构成要素及其项下合规义务进行分析综合而成的标准，构成合规有效性评价标准的主要依据。 所以，企业开展评价工作有必要采取科学的方法对合规管理构成要素进行进一步的分解，设计形成多层级和多维度的评价指标体系。 综合国内外合规管理有效性评价方法理论成果和实践经验，大部分合规管理有效性评价的指标体系多以定性指标为主，只有在特定的事项上才考虑定量标准。这是由于定性指标在解释事项发生的原因上可以给予较为直接和客观的答案。但在硬币的另一面，这会导致合规管理有效性评价标准的主观性和概括性较强，客观性和具体细节不足。而定量指标有助于掌握考察事项发生的多少频次，特别是通过分值幅度和多重检验等方法可以判断合规管理的个体差异性，也可以纠正和消除评价的主观性。因此，在设计评价指标体系时企业应考虑到不同类型指标的特性，合理地平衡定性指标和定量指标、单一指标和组合指标等的关系，来搭建全方位多维度多层面的指标组合，才能更全面地实现评价的目标。 3、加强合规管理信息化系统的建设。 目前，中国企业合规管理的信息化水平不高，中国企业通用的合规风险分析和风险评级的技术相对简单，很少在合规风险识别和分析采用建模等技术方法，缺少对合规风险进行动态监测和控制的技术手段，合规管理效能不高。 而从世界范围来看，合规管理工作的电子化是合规管理的未来发展方向，也是实现合规管理有效性评价便捷和高效的重要工具。设专章强调信息化建设的重要性，随着企业内部互联网、信息数据库等的广泛采用，中国企业应为合规管理部门的合规管理评估数据系统的建设创造更有利的条件，投入资源尽可能将多种信息化技术应用于合规风险管理体系的建设、实施和评估之中，高效地规避合规风险，为合规风险管理提供高效率的技术支撑。 结语 合规管理制度作为舶来品，起源于美国并逐步扩展到世界范围。从美国公司治理制度层面上看，合规制度是以上级责任、董事义务和刑事激励作为其理论和制度基础的。从实践效果上看，即便在美国，关于合规制度有效性的争论也一直不断。这些都为其它国家学习和借鉴合规管理制度的同时，也增添了许多制度和实践方面的难度。在中国，由于大陆法系的制度局限性和中国公司治理水平等原因，在国家立法层面上，合规制度中的相关法律基础问题并没有得到解决。因此，这也注定了在企业操作层面上，中国企业对合规管理制度的引进与消化必定要有很长的探索之路要走。特别是合规管理有效性作为合规管理中的核心事项，探索建立适合中国实际的企业合规有效性评估标准，不仅对企业本身有重要的现实意义，也可以为未来立法层面上增设合规内容贮备丰富的实践素材。 参考文献： 1.王君祥编译：《英国反贿赂法》，中国方正出版社2014年版。 2.李本灿：《企业犯罪预防中国家规制向国家与企业共治转型之提倡》，载《政治与法律》2016年第2期。 3.邓峰：《公司合规的源流及中国的制度局限》,载《比较法研究》2020年第1期。 4.刘霜：《意大利企业合规制度的全面解读及其启示》, 载《法制与社会发展(双月刊)》2022年第1期 (总第163期)。 5.陈瑞华：《企业合规整改中的专项合规计划》，载《政法论坛》2023年第44卷第1期。 6.梁涛：《美国企业合规制度的构建:国家监管、强制性自我监管与刑事激励》， 载《政治与法律》2022年第7期。 7.国际标准化组织（International Organization for Standardization, ISO）：ISO 37301：2021《合规管理体系要求及使用指南》。 8.国家市场监督管理总局：《合规管理体系要求及使用指南》（GB/T35770-2022）。 9.中国企业评价协会：《企业合规管理体系有效性评价指引》（T/CEEAS 003-2022）。 10.中国中小企业协会：《中小企业合规管理体系有效性评价》（T/CASMES 19—2022 2）。 注释： [1]经合组织：《用非审判解决方案解决外国贿赂案件》（2019），第209-211页。 [2]United States v. Siemens Aktiengesellschaft, CourtDocket Number: 08-CR-367-RJL;  Securities and Exchange Commission v. Siemens Aktiengesellschaft, 1:08-CV-02167 (D.C. 2008). [3]US DOJ, U.S. Attorneys Manual corp.-charging-guidelines，第9-28.800条企业合规计划 A一般原则。 [4]US DOJ, the Justice Manual JM 9-28.300，“在违法时以及作出指控时，公司合规计划的充分性和有效性” [5]the United States Sentencing Guidelines U.S.S.G. §§ 8B2.1, 8C2.5(f), and 8C2.8(11).“为了计算适当的刑事罚款，应考虑公司在不当行为发生时是否已经建立了有效的合规计划。” [6]US DOJ, the memorandum entitled “Selection of Monitors in Criminal Division Matters” issued by Assistant Attorney General Brian Benczkowski (the “Benczkowski Memo”)“公司是否对其公司合规计划和内部控制系统进行了重大投资和改进”和“是否已对合规计划和内部控制的补救性改进进行了测试，以表明它们将防止或检测到类似的不当行为再度发生。”来确定安排监视官是否合适。 [7]美国证监会：《<海外反腐败法>指南》(2020年版)。 [8]美国司法部刑事司：《公司合规计划评估》（2019年版），第2-8页。 [9]U.S. Attorneys Manual corp-charging-guidelines §9-28.800. [10]U.S.S.G. § 8B2.1 note 2(c). [11]U.S.S.G.§8B2.1(b)(5)(c)规定，“组织的合规计划应通过（A）根据合规与道德计划执行的适当激励措施在整个组织内得到统一促进和执行；和（B）组织对从事犯罪行为和未能采取合理步骤预防或侦查犯罪行为采取适当的纪律措施。” [12]Biegelman, Martin T., and Daniel R. Biegelman. Foreign Corrupt Practices Act compliance guidebook: protecting your organization from bribery and corruption. John Wiley & Sons, 2010.167-175. [13]美国司法部：美国司法部关于彼得森案的发布会，2012年4月25日，https://www.justice.gov/opa/pr/former-morgan-stanley-managing-director-pleads-guilty-role-evading-internal-controls-required，最后访问时间：2020年3月26日。 [14]U.S. Attorneys Manual corp-charging-guidelines §9-28.800. [15]USSG § 8B2.1. [16]In re Caremark Int 7 Inc. Derivative Litig., 698 A.2d 959, p.968-70 (Del. Ch. 1996). [17]美国司法部：《美国律师手册》公司责任指南第9-28.800条，企业合规计划，B评论。 [18]United States v. Garth Peterson, Court Docket Number: 12-CR-224. [19]在这个案子之前和之后，摩根斯丹利公司都被美国司法部和证监会因违反FCPA多次被处罚。

二、合规管理有效性评价的内涵 合规管理有效性评价包括评价主体、评价对象和原则、标准（评价内容）等四个核心内容，本文逐步展开论述。 （一）合规管理有效性评估的定义 合规管理有效性评价是企业合规管理体系建设的重要组成部分。在《中央企业合规管理指引（试行）》、《企业境外经营合规管理指引》、《商业银行合规风险管理指引》、《保险公司合规管理办法》、巴塞尔银行监管委员会《合规与银行内部合规部门》等境内外规范称之为合规管理评估；国资委新近颁布的《中央企业合规管理办法》也多处提到合规管理体系有效性评价；《亚太经合组织高效率公司合规项目基本要素》称之为定期评估和测试（Periodic Review and Testing），并将其作为企业合规管理十一大基本要素之一。 合规管理评价是指企业根据法律法规和内部制度要求，对企业合规管理体系在识别、防范和管理合规风险中所发挥的实际效用加以评判的行为。实践中，合规管理体系评价主要是指通过相关指标体系审查被评价企业的合规管理活动是否在规定的范围内、在正常的轨道上进行；监察和督促相关行为者是否忠实地履行合规管理责任，在评估过程中通过审核检查，对照法律法规和内部制度标准，发现违规违法行为、判断合规管理体系缺陷和追究违规责任等。合规管理体系评价工作的核心是通过对公司的合规管理体系评审、反馈、再评审的过程，做出企业合规管理活动是否真实、合法，合规管理体系的运行是否有效的结论，发现并报告公司在合规管理体系建设与实施中存在的问题，提出改进建议，促进企业合规管理体系的完善。 合规管理评价的对象是企业合规管理的有效性（effectiveness of compliance management system），与合规管理评估、合规评估与测试等概念具有相似性，但更加强调有效性这一根本目标。由此，合规管理的有效性是指企业建立的合规管理体系运行过程和结果能够实现预期管理目标的程度。[1] 合规管理的有效性包括合规管理体系设计、运行以及实践效果的有效性。“合规计划设计的适宜性”是指企业根据自身的特点建立起了一套可以有效预防合规风险、监控违规行为和应对违规事件的合规管理体系。所谓“合规计划运行的充分性”，是指合规计划融入企业管理的各个方面，使之运行和落地，发挥有效的内部监管作用。而所谓“合规计划效果的有效性”，则是指企业的合规计划不仅有效地堵塞和消除了合规管理漏洞，预防企业再次发生类似的犯罪行为，最终产生了积极的合规效果。简言之，合规管理体系运行的有效性离不开设计的适宜性，如果合规管理体系在设计上存在漏洞，即使这些合规管理制度能够得到一贯地执行，那么也不能认为其运行是有效的。在现有合规管理体系己经有效执行的基础上，还需要考虑合规管理在业务开展中是否收到了良好的实施效果，也就是需要对合规管理体系持续改进的有效性进行评估，才能保证企业合规管理实践的整体有效性。 （二）合规管理的种类 合规管理根据不同的区分标准可以划分出不同的类型，其中较为常见的划分方式有如下二种。 1、专项合规管理和全面合规管理 根据合规管理所涉及的风险范围为标准，合规管理可以分为专项合规管理和全面合规管理。专项合规管理用于企业禁止特定的非法行为，尤其是防止诸如贿赂、洗钱、内幕交易、会计和银行欺诈，以及不当价格政策等垄断行为所引发的刑事和民事责任，以及属于侵权的如职场性骚扰、职业安全、隐私以及环境保护等。专项合规管理通过减少或降低员工非法行为所带来的各种风险，由此避免或减轻可企业所承担的相应责任。而全面合规管理一般会秉持与社会认可的正向价值观的一致性，国外也称为合规与正直（Compliance & Integrity），企业要求员工遵守除了法律规定之外的公司内部的管理制度和行为准则等。通过填补了正式法律规则的空白，来提升企业和员工的守法水平和守法意识，也被称为商业伦理规则或者与社会责任相关的内容。在合规管理建设的实践中，企业基于面临的不同情况和环境通常可以采取二种实施路径，一种是从专项合规风险管理逐步扩展到全面合规风险管理体系建设，另一种是从搭建全面合规风险管理体系再向专项重点风险领域做纵深推进，这两种路径都是具有一定的合理性和可行性，需要结合企业自身的需求和情况而定。 2、事前合规管理和事后合规管理 以是否正在面临行政、刑事处罚情或者国际组织制裁为基准，企业合规管理可以分为事前合规和事后合规两种类型。事前合规管理也称为主动性合规或者日常性合规管理，是指在没有受到行政执法调查或刑事追诉的情况下所开展的日常性合规体系建设。事后合规管理又称被动性合规或者合规整改，也就是企业在已经被行政执法调查或刑事追诉的情况下，为获得减免处罚而开展的合规整改活动。 事前合规管理是指企业在不存在违法、违规或者犯罪的情况下，根据常态化的合规风险评估结果，为防范企业潜在的合规风险，开展合规管理体系建设，属于为提升商业竞争优势、获得更多交易机会而自主实施的加强内部合规风险防控的活动。而事后合规管理是指企业在面临行政执法调查、刑事追诉或者国际组织制裁的情况下，针对自身在管理方式、经营模式、决策机制等方面存在的管理漏洞和隐患，进行有针对性的制度修复和错误补救。事前合规管理和事后合规管理模式各有其适用对象、功能定位和制度建构等方面有所区别，但从总体上考察，这两种模式既可以相互转化，也可以相互补充和完善。 目前，我国的合规管理实践是政府主导为主和企业自主建设为辅的推动模式，其中各级国有企业是合规建设实践的主力军，这也决定了全面合规风险管理和事前合规管理是采用主要的合规管理类型，因此，大多数企业合规管理的有效性问题，不能通过司法和行政机关的执法行为来进行检验和评价，在这种情况下，构建合规管理有效性评价标准帮助企业对其合规管理的实际效果进行自我评价更具有现实意义。 三、合规管理体系有效性评价的原则 开展合规管理体系有效性评价工作需要遵循很多原则，包括全面性、差异性、独立性、符合性、及时性原则等，其中，更为基础性和技术性的原则应该是全面性、差异性原则以及符合性与有效性统一原则。某种程度上，这三个原则为其它原则提供了资源保障。 （一）全面性原则 全面性原则是指评价工作应当覆盖企业经营管理活动的全过程，评估标准应当系统、全面。合规管理体系有效性工作评价的范围应覆盖企业合规管理体系明确规定的经营管理活动的全员、全领域和全过程的所有内容，其中，全员应包括治理层、经营管理层、实施层的所有员工。全领域应包括企业合规管理制度规定范围内的所有专业领城（例如合规、法务、财务、内控、风控等）和管理领域（例如质量、环境、能源、健康安全、社会责任等）。全过程应包括产品实现或服务提供全部过程，例如生产过程、人力资源管理过程、采购过程、销售过程、售后服务等企业生产经营活动中的全部业务流程和支特性过程。全面性原则要求评价内容和结果能够反映企业合规管理体系建设、运行的整体情况，包括建立、 实施、运行、维护、持续改进等过程，这些过程依托或者包含于一套具有持续改进和自我强化能力的合规管理体系中，并且可以与企业内的其他管理体系相协同。 （二）差异性原则 根据这一原则，评价工作需要考察企业的合规管理工作是否与预期的合规目标相契合，并与企业的规模、行业特点、业务范围、合规风险、涉罪性质（如有）、等相适应。在合规整改的情形下，评价工作应增加考察企业是否承担了过度的和不必要的合规负担。 在评估内容设计层面，该原则要求针对不同行业企业规模和类型的特点，设定不同的评价内容、指标以及指标权重。权重的设置根据不同企业的合规风险、经营规模、业务范围、行业特点等因素决定。 在实际操作层面，该原则要求评价工作应考察企业是否以风险评估作为合规管理的逻辑起点和重要基础，也就是说，企业无论是建立合规机构、配备合规管理人员，还是建立针对合规风险的预防、监控和应对机制，是否考虑了企业规模、行业特点、业务范围与类型、治理结构、企业文化、涉罪性质（如有）等诸多因素，并据此做出合规风险识别和风险评估，从而建立一种与上述因素相适应的合规管理体系。在合规整改的情形下，执法机关的评价工作也需要监督企业是否建立一种与实现合规管理目标相符合的合规组织体系，按照必要性原则投入人力、物力等资源，根据比例性原则建立合规风险的防控、监控和应对管理流程。 （三）符合性与有效性相结合原则 设计评价内容和评价指标体系应该既要考虑合规管理过程中各项制度、文件、措施等的符合性，又要考虑合规管理实施所产生的结果，例如合规管理目标的实现情况等。一般通过三个方面来评价合规管理的符合性与有效性，合规管理体系的规范性文件是否符合有关法律规定和国际和国内合规标准的要求，合规管理工作实施过程的证据性文件是否符合企业规范性文件的要求，其证据性文件的各项内容是否能够真实反应其合规管理工作的有效性，以及合规管理工作是否根据组织环境的变化得到了持续改进。 当然，其它评价原则也有其重要作用，是不容忽视的。例如，独立性原则，是指履行合规管理职责的牵头部门以及相关人员应当独立客观，不受其他内、外因素干扰。及时性原则，是指评价工作的开展频率首先应当满足外部监管要求，并根据企业自身实际情况及时进行调整。 四、方法论基础 戴明环是企业全面质量管理的思想基础，其核心就是PDCA循环，即：将质量管理分为四个阶段，即Plan（计划）、Do（执行）、Check（检查）和 Action（处理）。计划是指，在质量管理之初，首先是在调查研究的基础上，结合内外部资源条件，制定合理的管理计划。此计划包括目标、以及为了实现目标方针所采取的规划，面临的问题，在时间、地点、人物，方法、预算等层面进行深入思考与系统布局，形成对应的计划书和计划表。执行是指组织资源，执行目标，根据事先制定的管理计划，具体安排专人在合适的时间地点进行执行，落实计划的每一项内容，并且做好相应在的记录。或有问题，及时再协调沟通，予以更新完善。检查是指，在执行过程中，或执行结束后，企业需要将实际执行情况，与原先的计划进行对照管理，检查结果是否为预期达标，并落实到检查表或考核评估表中，并将结果反馈给有关管理方。改进是指，针对本此轮循环中存在问题或者未达标的内容进行分析总结原因，从而采取针对性的措施进行纠正和预防，肯定成绩、改进不足。以此纳入下一个PDCA循环之中，持续改进，从过去、现在，实现未来的提升。以上四个过程不是运行一次就结束，而是周而复始的持续进行。当一个循环结束，解决了一些问题，那些未解决的问题将被列入进入下一个循环，如此企业逐步实现质量管理的阶梯式飞跃。 从国外和国内的实践经验看，企业合规管理作为企业管理的一个分支，也遵循这样的规律。借助于质量管理的方法论，国际标准化组织（ISO）发布的ISO 37301:2021《Compliancemanagementsystems-Requirementswithguidanceforuse》中指出，合规管理的常见要素（Common Elements）包括四部分内容，分别是目标（Objects）、原则（Principles）、组织及其环境（Organization & Context），居于核心地位仍然是戴明环，即PDCA。在此基础上，国际标准化组织对PDCA的每一个阶段按照合规管理的需要提出了进一步细化的要求，构建了合规管理领域的PDCA循环。合规管理评价作为次环的一个重要组成部分，同样地基于PDCA循环作为重要的构成要素来开展相关工作。 注释： [1]中国企业评价协会的《企业合规管理体系有效性评价指引》中规定，合规管理体系有效性（effcctiveness of compliance managcment system）是指组织所建立的合规管理体系运行过程和结果实现预期目标的程度，包括合规管理体系文件有关的规范性交件与IS0 37301要求的符合性、实施过程与规范性文件的符合性、实施结果实现企业合规目标的程度和持续改进的效果。

2023年09月01日，中华人民共和国第十四届全国人民代表大会常务委员会第五次会议表决通过的新修订的《中华人民共和国行政复议法》（以下简称行政复议法），将自2024年01月01日起施行。行政复议是化解行政争议的重要法律制度，其主要功能在于防止和纠正违法的或者不当的行政行为，保护公民、法人或者其他组织的合法权益。此次修订行政复议法，明确了行政复议原则、职责和保障，完善了行政复议范围有关规定，增加了行政复议申请便民举措，强化了行政复议吸纳和化解行政争议的能力，完善了行政复议受理及审理程序，加强了行政复议对行政执法的监督。 2023年07月13日，全国人大常委会法制工作委员会行政法室委托司法部律师工作局协调北京市律师协会组织召开行政复议法修改座谈会，就行政复议法修订草案二次审议稿进行研讨。天津市律师协会行政法专业委员会主任、天津大有律师事务所主任肖剑接受工作安排，代表天津市律师协会出席参会，并于会上就与天津市行政法学学者、行政法专业委员会委员共同研讨形成的4点修改意见作出建议阐述。（动态回顾：《肖剑律师受邀参加司法部关于行政复议法、行政诉讼法修改座谈会》） 对比新修订的《中华人民共和国行政复议法》，我们注意到，在肖剑主任所提出的4点意见中关于 “适当扩大行政复议前置的范围” 的立法建议被采纳、吸收，具体体现如下： 在修改座谈会上，肖剑主任表示，行政复议法修订草案二次审议稿第二十三条已经大大地扩大了行政复议前置的范围，其基本取向是适当地把相对较为简单的和专业性强的行政行为规定为复议前置的案件，这样可以更好地发挥行政复议主渠道的作用，进而更好地解决一些简单的和专业性强的案件。当前，实践中有两类数量众多、较为简单的案件，即政府信息公开类和投诉举报类案件，建议考虑把上述两类案件规定为复议前置案件。 最终公布的《中华人民共和国行政复议法》第二十三条中，“有下列情形之一的，申请人应当先向行政复议机关申请行政复议，对行政复议决定不服的，可以再依法向人民法院提起行政诉讼” 其中第四项为 “申请政府信息公开，行政机关不予公开”。 上述规定充分考虑了政府信息公开案件受案 “门槛” 低、数量多、涉及领域广，以及在实践中占用了大量的公共资源的特点。把部分政府信息公开案件设定为复议前置案件，有助于充分发挥行政复议解决行政争议的主渠道作用，使得复议真正成为矛盾化解的 “过滤器” 和 “分流阀”，进而防止政府信息公开后争议的进一步发展，充分发挥诉源治理效果，节约公共资源；同时也有助于发挥行政机关在政府信息认定及利益衡量中的专业性和技术性优势，通过行政经验体现政府的公信力，减轻公民的维权成本，保障社会关系的稳定。 作为中华全国律师协会行政法专业委员会委员，肖剑律师同时还参与到包括《档案法实施条例》在内的多部法律的立法建议工作中，中国特色社会主义法治体系的不断完善，将持续推动我国的全面依法治国进程，对于规范社会行为和社会活动，保障社会的健康发展具有深远影响。此次《中华人民共和国行政复议法》修订工作的开展，充分体现了天津律师对于国家立法建议工作的高度重视和责任担当，天津律师坚决拥护我国社会主义法治建设，始终坚持正确政治方向，坚持热爱国家的情怀担当，坚持服务党和国家中心工作的大局观，切实将 “五点希望” 落实到法律工作中去，努力争做 “党和人民满意的好律师”。未来，天津律师将不断努力、积极进取，持续为社会主义法治建设贡献自身力量。

五、合规管理体系有效性评价的标准 （一）背景概述 近年来，中国企业主要依据国务院国资委《中央企业合规管理办法》和早期发布的《中央企业合规管理指引（试行）》、国际标准化组织（ISO）发布的ISO 37301:2021《Compliancemanagementsystems-Requirementswithguidanceforuse》（以下简称“ISO 37301”）及早期的ISO 19600:2014等来搭建企业的合规管理体系。但如何评价合规管理体系的有效性，目前尚没有特别统一、明确的方法论和评价标准等。中国企业评价协会发布的《企业合规管理体系有效性评价指引》、中国中小企业协会发布的《中小企业合规管理体系有效性评价》、多部委联合发布的《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》、《涉案企业合规建设、评估和审查办法（试行）》以及一些地方性合规指南等为企业开展有效性评价提供了参考。合规管理的有效性评估标准作为衡量企业是否提升自我监管能力以及预防犯罪实际效果的重要因素，一方面与企业行政或刑事责任相联系，决定了执法机关是否对其作出不起诉、减免刑罚甚至出罪的处理。同时，另一方面也是企业提升犯罪预防能力，优化企业治理结构的重要手段。但在现阶段，合规管理有效性的评价标准仍面临着明确性缺乏，可操作性不强、形式化色彩浓厚等现实困境。具体分析如下， 1、评价标准缺乏明确性，可操作性不强。 从七部委联合发布的《企业境外经营合规管理指引》的第27条到《中央企业合规管理指引（试行））第22条和《中央企业合规管理办法》第27条，[1]均要求企业应定期对合规管理体系进行系统全面的评价，规定了评价应考虑的因素，并强调了评价结果的运用。2022年4月19日，中华全国工商业联合办公厅、最高人民检察院办公厅、司法部办公厅等多部门联合发布《涉案企业合规建设、评估和审查办法（试行）》（以下简称《办法》）第14条也对第三方组织对于涉案企业合规计划有效性的评估标准做出了规定，但“有效识别”“及时处置”“合理配置”“充分保障”以及“评价机制正常运行”等表述过于笼统，难以据此作出有效且客观的评估判断。 2、评价标准形式化色彩浓厚，实效难以保证。 目前，企业的合规管理很容易呈现出形式统一化的倾向。特别是国有企业在国资委统一文件要求的背景下，国企的合规管理很容易出现相互借鉴、相互吸收的情形，从而忽视了企业因经营规模、业务范围、行业特点等差异性因素决定特有的合规风险，导致中央或者地方国有企业搭建形式化、雷同化的合规管理体系，难以保证合规管理的取得实际成效。这个问题在合规整改阶段中更为突出，由于前述的《指导意见》、《办法》关于合规计划有效性的评估标准不够清晰、评价工作具有形式化的特点，导致一些具体案例中涉案企业合规管理的实效果有待考察。例如，最高人民检察院发布的《企业合规典型案例（第二批）》中的“山东沂南县 Y 公司、姚某明等人串通投标案”。对涉案企业的合规考察，需要经历审查、制定合规管理计划、执行计划、监督评估、检察院作出宽大处理决定等流程。而在短短不到一年的时间，本案就完成了合规计划的制定、执行和评估等流程，其合规计划的实际效果如何令人难以信服。这种以形式化评价标准衡量企业合规计划的有效性既也不利于充分激发企业开展合规管理的积极性，也会降低评价标准对企业合规工作的指导作用，难以实现督促企业进行有效合规管理的根本目标。 因此，操作性不足和形式化的有效性评价标准既难以为评估组织提供合规管理机制有效运行的参照标准，也难以为企业在搭建有效合规管理体系的进程中提供指引。针对有效合规评估标准面临的现实困境，应充分考虑风险防范的针对性等因素，从方法论基础、评价内容和评价方法等方面入手，制定并不断优化合规管理体系有效性的评价标准。 （二）合规管理有效性标准的内容 1、合规管理体系的构成要素 纵观国内外的法律规定、各类型标准与合规管理实践，一些国际组织和各国关于合规管理体系构成要素的要求并不尽相同。但是，无论是日常合规管理体系还是专项合规制度一般都包括如下核心内容： （1）完备的伦理规范或者行为准则，为企业内部合规管理奠定合法性基础；（2）清晰的合规政策和程序；（3）最高管理层积极参与制定与实施合规计划；（4）配置专业合规机构与人员；（5）定期培训计划；（6）内部举报与调查制度；（7）内部纪律与制裁措施；（8）奖励制度，鼓励促进合规、廉洁企业文化的行为；（9）监测和审计制度；（10）定期评估和改进程序，保证合规管理的适时性。[2] 合规管理体系的构成要素是合规管理有效性评价的物质基础，如果没有这些构成要素，合规管理有效性将成为空中楼阁，而无从谈起。但在另一方面，就如许多失败的教训所揭示的，仅有这些构成要素可能实现“纸面合规”，并不一定能保证合规管理取得实际效果。因此，有效性才是合规管理的灵魂和最终目标，而实现这一目标的手段就是通过合规管理有效性评价标准来进行验证。 2、合规管理有效性评价标准的内容 根据《合规管理体系要求及使用指南》第9.3.1条的要求，治理机构和最高管理者应在策划的时间间隔内对组织的合规管理体系进行评审,以确保合规管理体系持续的适宜性、充分性和有效性。因此，合规管理体系有效性评价标准可以进一步分解为三个方面，分别是“合规管理体系设计的适宜性”、“合规管理体系执行的充分性”和“合规管理体系实施结果的有效性”。分别讨论如下， （1）“合规管理体系设计的适宜性”，是指企业是否在充分识别和评估企业合规管理风险的基础上，搭建一套可以有效预防合规风险、监控违规行为和应对违规事件的合规管理体系。设计适宜性需要重点考察设计合规管理体系是否满足符合性、全面性和可及性等要求 ，具体内容包括合规章程、合规政策和程序、合规组织体系和人员保障、合规风险预防体系、合规风险监控体系以及违规事件应对体系等基本构成要素，尤其需要强调如下几个方面， 一是合规风险评估制度。风险评估是制定合规管理制度的基础，也是保证合规管理设计符合企业实际的逻辑起点。重点考察企业合规风险评估的相关制度和流程包括，对内外部环境分析与应用、识别利益相关方的需要与期望、明确合规管理体系的覆盖范围（涉及地域边界、组织边界和业务边界）、梳理和识别合规义务等，以及是否根据内外部环境的变化定期更新和修订等。没有扎实的风险评估工作做前提，企业合规管理体系就会成为无本之木。 二是合规管理制度。重点考察企业设计合规管理制度的完整性和规范性，主要包括合规管理的基本制度是否完善，明确了总体目标、机构职责、运行机制、考核评价、监督问责等主要内容。与之配套的文件化信息是否完备，包括纲领性文件（例如手冊、管理制度等）、流程性文件（例如程序、管理规定、管理办法等）和作业指导性文件（例如操作规程、工作流程、作业指导书等）。企业是否根据使用范围、效力层级等构建了分级分类的合规管理制度体系。是否针对反垄断、反商业贿赂、生态环保、安全生产、劳动用工、税务管理、数据保护、国际化业务等重点领域制定了专项合规管理制度。 三是合规运行机制。重点考察合规风险识别评估预警机制、合规审查机制、合规报告制度、培训与沟通机制、违规问题整改机制、举报与调查机制、协同运作机制、有效性评价机制等。参考各国的相关实践，在对企业合规管理运行机制进行评估时，尤其关注企业的培训与沟通机制、举报与调查机制是否得到切实可行。 培训与沟通机制，侧重评估企业是否是以适合受众的规模和满足特定的实际需求、采用适当的方式来传达企业合规的各种合规信息，以及评估企业为确保将合规管理纳入组织管理体系而采取的有关活动，包括通过对所有董事、管理人员、相关人员和第三方业务伙伴进行定期培训和认证。以及为了解决现实中的合规问题，企业是否向员工提供以前的合规案例和实用的合规建议，让第三方了解公司的合规政策，确保其学习到必要的合规知识、掌握合规管理工具并帮助其做出合规决定。 举报与调查机制是是企业发现不当行为的重要渠道之一，设计良好的合规管理体系的一个标志是存在一个高效且可信的举报机制，员工可以通过该机制匿名报告涉嫌或实际违反公司合规政策的各类行为。应评估企业是否设计了适当的投诉处理程序以创造一个不担心报复以及保护举报人的机制。同时，还应该评估企业处理此类投诉的调查程序，包括将投诉转交适当的人员，及时完成彻底的调查，以及适当的后续处罚措施等。 总之，企业在合规管理领域所有旨在建章立制的活动都应被纳入“合规管理体系设计适宜性”的评价范围。 （2）“合规管理体系执行的充分性”，是指企业在经营管理中是否投入足够的资源和赋予足够的权力来“真诚地”落实和执行合规管理的书面要求，保障其在企业经营管理活动中发挥了监管作用。主要包括三个方面，管理层参与合规管理的程度，合规管理部门的职能与资源，以及合规后果管理机制等。其中的要点如下， 一是管理层的支持和参与程度。主要考察企业最高层合规承诺的落实情况，最高层的合规承诺为企业定下了合规基调，包括向企业传达价值观，推行员工行为准则以及其它主要合规文件来促进企业合规。在执行层面，考察企业高中级管理层的言行举止是否为下属树立了合规榜样，在日常经营管理中能够共同以身作则来鼓励合规和不容忍不当行为的发生。以及当出现不当行为时，高级管理层特别是董事会在企业查处不当行为的过程中是否发挥了适当的监督作用等。 二是合规管理部门的职能与资源。主要考察设置合规管理部门其合规管理人员是否具有胜任的能力，并保持其独立性、权威性并具有足够的资源渠道。合规管理部门的独立性，考察涉及是否设置独立的合规部门以及合规管理委员会等。合规管理人员的资历与能力能否胜任，需要结合人员自身能力、企业岗位要求和企业绩效考核安排等进行考察。而是否有效地行使合规管理职能，考察是否明确规定了合规部门的职责和权限，以及独立性、汇报层级、发言权、重要決策者直接接触方面等事项。最后，考察企业是否投入足够的资源保障合规管理部门履行职责与权限，包括是否有足够的合规管理人员来履行合规管理的监测、检查和控制等职能，以及对合规管理工作的预算投入情况，合规管理人员是否对企业相关数据和资源具有足够的访问权限等。 三是合规后果管理机制。主要是指企业是否有清晰明确和统一适用的合规激励和处罚机制，通过对企业合规管理奖惩效果的评估来衡量合规管理制度执行的有效性。其中，企业的人力资源绩效体系是否保证企业各级管理人员和所有员工在业务考核、职务晋升、岗位调动等方面都要经过合规考核环节等。处罚机制关注参与处罚部门构成，处罚措施是否明确具体，如何保证对企业各级员工的公平和统一的适用，惩戒情况在企业内部公开和披露的程序等。 总之，执行的充分性反映了企业是否以积极和真诚的态度投入资源将合规管理纳入到了企业决策、业务、财务、经营、人事等各个管理环节，并使其得到充分和有效地执行落实。 （3）“合规管理实施结果的有效性”，是评价企业通过实施合规管理体系是否产生了积极的成效，主要包括企业通过定期的合规监测和内部合规审计，针对违规行为进行调查，分析管控漏洞，并采取补救措施和追究责任，持续地改进合规管理体系等，结果有效性评价的性质和频率可能取決于企业的规模和业务复杂性等因素而不尽相同。 一是开展合规监测。是指为了使企业及时识别潜在或已发生的合规风险和违规行为，企业合规管理部门针对重要的管理和关键的业务领域进行定期的监督、审查和分析的过程。定期监测试是确保合规管控运作良好的重要保证，考察的要点在于，企业开展定期测试的覆盖范围，具体采取了哪些监测的措施，如何收集和分析合规数据，监测分析报告的结果如何进行进一步的应用等。借助有效的合规监控程序，企业不仅可以掌握到合规管理体系中信息的不足，也可使企业在合规风险引发具体违规行为、遭受监管处罚、造成经济损失或破坏声誉等不良结果之前得到预警，防患于未然。 二是定期的内部合规审计。是指为了掌握企业合规风险管理的实际运作及其有效性情况，由合规管理部门对企业各部门（包括各管理部门和业务部门）的经营管理行为以及员工履职行为的合规性所进行的检查和评估。重点考察企业是否采取了“合理的步骤”来确保企业的合规要求得到遵守，并定期评估其合规管理的的有效性。包括内部合规审计的文件依据、周期（特别是在高风险领域进行检查和评估的频次）、执行程序、审计结果以及采取的补救措施等，特别是哪些审计结果和补救措施需要定期报告给管理层和董事会，管理层和董事会对此采取的后续有关措施等。 三是对不当行为的调查。是指考察企业能否对企业及其员工或代理人的任何指控或可疑的不当行为进行及时和彻底的调查、保留适当的书面记录和采取纪律处分或其它补救措施。并且，调查结果是否被企业用来分析不当行为发生的根本原因、填补管理系统漏洞和处理问责缺失等的依据。 四是持续改进和发展的能力。是指随着企业的内外部环境的不断变化，以及针对合规监测、内部合规审计和调查中发现的问题进行持续改进的机制。主要考察企业是否进行了有意义的努力来审查其合规管理体系，确保其合规管控措施始终聚焦在企业合规风险的领域，并确保其运行良好和与时俱进。具体包括公司更新风险评估并审查其合规政策、程序和做法的周期，以及是否通过差距分析来保证特定的风险敞口在其政策、控制或培训中得到充分和适当的处置等。 总之，通过合规管理体系的实际运行，企业不仅有效地预防合规风险、监控违规行为堵塞和消除了合规管理漏洞，企业合规合规管理体系实现了企业的自我监管，并最终形成了依法依规经营的企业文化。 （4）三方面之间的关系 合规管理体系有效性的这三个方面之间存在了内在的层层递进的逻辑联系。合规管理体系设计的适宜性，是合规管理执行充分性的前提和基础。一言以蔽之，合规管理体系运行的充分性离不开设计的适宜性，如果合规管理体系在设计上存在漏洞，即使这些合规管理制度能够得到一贯地执行，那么也不能认为其运行是有效的。而合规管理有效运行的充分性，则是合规管理体系从“纸面合规”走向“实效合规”的关键环节。相对于合规计划设计和运行而言，合规管理实施结果的有效性更注重合规管理体系所产生的积极效果。这种效果既不等于提出了良好合规管理的书面承诺，也不等于执行了一整套全新的合规管理体系，而是发挥了预防合规风险、监控违规行为和补救制度漏洞的实际作用。这三个方面的层层递进才保证了合规管理形成了PDCA循环，得以周而复始地持续改进。当一个循环结束，解决了一些合规问题，那些未解决的合规问题将被列入进入下一个循环，推动企业逐步实现合规管理的阶梯式飞跃。 此外，合规管理体系有效性评价可以结合评价内容和指标的具体情况，采用文件审阅、问卷调查、访谈调研、飞行检查、穿行测试、感知测试、模拟运行等评价方法，介绍的文章很多，非本文讨论的重点，就不再一一赘述。 注释： [1]《企业境外经营合规管理指引》第27条合规管理体系评价 “企业应定期对合规管理体系进行系统全面的评价，发现和纠正合规管理贯彻执行中存在的问题，促进合规体系的不断完善。合规管理体系评价可由企业合规管理相关部门组织开展或委托外部专业机构开展。企业在开展效果评价时，应考虑企业面临的合规要求变化情况， 不断调整合规管理目标，更新合规风险管理措施，以满足内外部合规管理要求。” 《中央企业合规管理指引（试行））第22条“开展合规管理评估，定期对合规管理体系的有效性进行分析，对重大或反复出现的合规风险和违规间题，深入查找根源，完善相关制度，堵塞管理漏洞，强化过程管控，持续改进提升。” 2022年8月23日，国资委发布的《中央企业合规管理办法》第27条也仅规定中央企业应当定期开展合规管理体系有效性评价，针对重点业务合规管理情况适时开展专项评价，强化评价结果运用。 [2]See Stefano Manacorda，Francesco Centonze and Gabrio Forti eds.，Preventing Corporate Corruption， Springer，2014，p.416.

摘要：合规管理有效性评价是企业开展合规管理工作的重要内容之一。本文首先回顾了合规管理有效性评价的国外发展历程和中国的相关实践，阐述了构建中国合规管理有效性评价标准的必要性，围绕着合规管理有效性评价主体、评价对象、原则和标准（评价内容）等四个核心内容逐步展开分析和讨论。并以二个FCPA执法案件为切入点，进一步探讨合规计划有效性评价标准的具体运用。最后，本文在风险评估、评价指标体系和信息化系统建设等方面提供一些参考建议。 关键词：合规管理；有效性；评价标准；FCPA Extraterritorial Experience and Chinese Practice in Constructing Evaluation Criteria for Compliance Management EffectivenessYu Chen ( Beijing DHH Law Firm，BeiJing100022 China) Abstract: Evaluation of compliance management effectiveness is one of the important contents for enterprises to carry out compliance management . This paper firstly reviews the development history of compliance management effectiveness evaluation in foreign countries and relevant practices in China, explains the necessity of constructing Chinese compliance management effectiveness evaluation standards, and gradually analyzes and discusses the four core contents such as the subject of compliance management effectiveness evaluation, the evaluation object, the principle and the standard (evaluation content). It also takes two FCPA enforcement cases as entry points to further explore the specific application of compliance program effectiveness evaluation standards. Finally, this paper provides some suggestions on risk assessment, evaluation index system and information system construction. Keywords: Compliance ManagementEffectiveness；Evaluation Criteria；FCPA 一、合规管理有效性评价的历史溯源 近几十年来，企业合规管理逐渐成为各国企业监管自身不当行为的重要手段而被广泛接受，但其实际效果究竟如何在理论和实务界都仍然存在很大的争议。一些批评意见认为，尽管公司的合规管理 “在道德上是无懈可击的，但纸面规范与实际行为之间显然存在差距。”[1] “企业合规管理是低效的、缺少透明度、自我服务和民主性不足等等。” [2]而且，合规监管的有效性在很大程度上还取决于公司独立的监控和投诉程序，但其透明度并不总能得到有效保证。特别是，一些FCPA累犯案例更为企业合规管理的有效性蒙上了阴影。据统计，从1989年到2022年间共有十五家公司涉及两次以上违反FCPA的情况。在与执法机构达成和解协议和面临处罚的压力下，一些公司尚不能履行有效地监控腐败行为的承诺。[3]所以，有必要对企业合规管理的有效性进行检验并提出完善的措施。 因此，各国相关执法机构也一直在研究和制定在对企业的行政或刑事调查和处罚中的评价标准来验证企业合规管理的有效性。同时，这些评价标准也对各国企业开展有效的合规管理建设提供了重要的指引。 对于中国企业而言，全部中央和部分地方国有企业已经初步建立了合规管理机制。国资委管理的中央企业已全部成立合规委员会，出台合规管理制度，完善合规工作机制，取得了合规管理的阶段性成果。但企业如何提升自身合规管理行为的有效性，或者说如何对企业合规管理行为进行有效的评价，是中国企业在合规管理体系初步形成之后的重点任务。只有有效的合规管理行为，最终才能保证企业合规经营和提升企业价值。反之，则只会增加额外的人力与资源的负担，成为管理上的新形式主义。因此，对于中国企业的合规管理而言，当下最为关键的工作在于，如何从形式化的阶段提升到有实际成效并且可检验和评价的阶段。 （一）合规管理有效性评价的国外实践与进展 1、美国的实践 在企业合规管理领域，美国的相关合规管理有效性评价标准探索和实践具有一定的借鉴意义。早在1991年，美国量刑委员会在1987年《联邦量刑指南》（Sentencing Guidelines）基础上增加的《机构量刑指南》（Sentencing Guidelines of Organizations）成为美国开展合规管理体系有效性评估制度的“里程碑”文件。此后，美国《萨班斯法案》（Sarbanes-Oxley Act）、《反海外腐败信息指引》（FCPA Resource Guide）、《海外资产控制办公室合规承诺框架》（OFAC Compliance Framework）、《工业和安全局出口管制合规管理指南》（BIS Export Compliance Guidelines：The Elements of Effective Compliance Program）、《司法部反垄断局公司合规体系有效性评估》（DOJ Antitrust Division Evaluation of Corporate Compliance Programs）、《公司合规体系评估指南》（Guidance on the Evaluation of Corporate Compliance Programs）等一系列的制度进一步丰富和发展了美国合规管理体系有效性评估标准的内容。 1999 年以来，美国司法部颁布了一系列由副总检察长署名发布的合规备忘录，旨在为州检察官决定是否指控组织犯罪提供基本的评价标准。包括《霍尔德备忘录》（Holder Memorandum，1999）、《汤普森备忘录》（Thompson Memorandum，2003）、《菲利普备忘录》（Filip Memorandum，2008）、《摩洛哥备忘录》（Monaco Memorandum，2022）等。以《霍尔德备忘录》为例，其规定了检察官起诉企业时可以考虑的八大因素，其中，企业是否具有合规计划及其合规计划的有效性直接影响检察官的裁量，如检察官认定企业的合规计划是有效的，可依职权不予指控。此外，《霍尔德备忘录》还提示检察官需从企业违法行为的普遍性、企业合规计划拥有与否、以及企业采取补救措施与否来考察企业的合规状况。总之，美国司法部颁布的这些合规备忘录渐进地明确了对合规计划的评估应当基于“该计划的设计是否能够最大限度地有效防止和发现不法行为”的基本原则，并及时更新和细化了评价标准的各项考虑因素。由此可见，备忘录除了对检察官诉讼业务具有指导作用外，还对引导企业如何建立有效的合规管理体系意义重大。 在上述的法律文件中，美国《机构量刑指南》和《公司合规体系评估指南》为企业合规管理的有效性评估提供了更为具体的可操作性标准，在企业合规管理评价过程中具有更为重要的地位。《机构量刑指南》和《公司合规体系评估指南》的合规有效性标准虽为美国司法机关在起诉和量刑时评估公司合规管理有效性的依据，但由于它们在实践中被广泛运用于其他领域，已成为美国政府机构以及企业日常评估其合规体系有效性的主要标准。 《机构量刑指南》确立了公司合规体系有效性评价的“七个黄金标准”包括（1）基于可能存在的风险，制定明确的合规标准和程序，以防止和检测违法犯罪行为；（2）公司高级管理人员对合规的承诺、监督和支持；（3）在招聘员工和员工晋升过程中筛选不道德的人员；（4）持续地开展合规培训和教育；（5）监督、审计和报告要求以及定期对项目有效性自我评估；（6）纪律执行和激励机制与合规管理的要求一致；（7）发现违法犯罪行为后采取纠正措施。“七要素”标准比较抽象，也容易形式化，同时不宜实际操作。 为解决合规有效性评估这一世界性难题，美国司法部在《机构量刑指南》的基础上，借鉴经济合作与发展组织《内部控制、道德和合规的良好实践指南》、《企业反腐败道德与合规手册》等资源，制定出台了《公司合规体系评估指南》，逐步推动企业合规有效性评估标准从形式到实质，从抽象到具体的发展过程。2017年，美国司法部首次发布了《公司合规体系评估指南》，并于2019年、2020年、2023年对该指南进行了多次更新。《公司合规体系评估指南》对公司合规体系评估包括三个方面：（1）公司的合规体系设计是否合理；（2）公司的合规体系是否被是否被认真地、真诚地执行，换言之，合规体系是否有足够的资源和权力来有效运作；（3）公司的合规体系是否在实践中发挥作用。在这三大评估事项之下进一步细化了各项评估指标，包括十二项一级指标和五十多项二级指标，以及共计近200项具体评价指标，尝试统一企业合规管理有效性的评价标准。 总之，美国检察官评估企业合规有效性的标准，从1991年《组织量刑指南》确立的“七要素”标准及其多次修订，到 2017年《企业合规计划评估指南》确立的“三要素”标准及其后多次修订，持续推动着合规管理的有效性评价标准经历了从形式到实质、从抽象到具体、从注重技术指标到强调实际发挥作用并融入企业文化的发展过程。 在美国之后，英国、加拿大、日本、俄罗斯、意大利、 西班牙等国相继通过立法或者判例确立了合规计划的法律规定，以英国和意大利为例。 2、英国的实践 2011年4月起正式生效的英国反贿赂法案（UK Bribery Act）被誉为史上“最严厉的反腐败法。与美国反海外腐败法（FCPA）相比，英国反贿赂法案的打击范围更广，对于企业的威慑力更强。英国《反贿赂法》第7条创设了商业组织预防贿赂失职罪，规定如果企业疏于构建预防贿赂的内部管理制度而导致行贿行为发生的，则推定商业组织应承担刑事责任。《英国反贿赂法》为商业组织确立了严格责任的同时，也规定了商业组织有权进行无罪抗辩的事由，如果该商业组织能证明其已经制定了旨在预防商业贿赂行为的充分程序，就可以推翻检方的责任推定，说服司法机关做出该组织不承担刑事责任的裁决。为了落实英国《2010年反贿赂法》的上述规定，英国司法部颁布了《2010年反贿赂罪法适用指南》（U.K. Bribery Act Guidance）（以下简称“《指南》”），为判断合规计划的有效性提供了法律依据。[4]《指南》明确指出，在判断特定商业组织的合规计划是否有效的情况下，应根据《指南》有关充分程序的规定，结合个案具体情况和环境等因素进行判断。所谓充分程序，是指商业组织旨在证明自己建立有效预防贿赂犯罪的合规管理体系，一般应满足六个方面的原则性要求，具体包括相称性程序原则、最高层承诺原则、风险评估原则、尽职调查原则、沟通与培训原则和监测与审查原则。 2020年，英国反严重欺诈办公室公布了《合规计划评价操作手册》（Evaluating a Compliance Programme）。[5]该手册为反严重欺诈办公室的检察官、调查人员、审计人员以及律师等其它合规专业人员在评估涉案企业合规计划有效性时提供了一套标准的流程和指导。尽管操作手册不具有强制约束力，但是其为检察官评估企业合规计划的有效性确立了最新的标准。该操作手册所确立的有效合规评价标准具有广泛的适用范围，既适用于企业犯罪之前所建立的合规计划，也适用于企业犯罪后对合规管理所采取的制度补救措施，以及企业为履行暂缓起诉协议（DPA）所开展的合规整改措施。至此，英国也逐步建立了一套针对涉案企业合规计划有效性的评价标准。 3、意大利的实践 意大利也是较早通过立法建立企业合规管理体系的国家。意大利法律（2001年第231号立法法令）第6条要求公司建立纪律制度作为遵守合规计划的关键要素，该纪律制度必须由实体根据其自身的规则实际执行。同时，规定了判断企业责任的主客观标准，将企业责任建立在组织性过错的基础之上。[6] 有效的合规计划必须满足以下条件：（1）开展风险评估，确定潜在的违法行为。即企业通过具体分析企业结构，确定其各个部门可能实施的犯罪行为，以此为基础制定合规计划；（2）就合规制度设计与实施计划提供详细而明确的蓝图。具体而言，即企业应为所有具体活动制定规则，并通过必要的培训与宣传，让管理人员和员工知悉这些规则。与此同时，确定各领域的负责人员，划分与风险操作有关的职责；（3）规定针对犯罪行为的财务资源管理程序。企业必须登记、备案和证明每一笔资金流动，以避免为犯罪活动提供隐形资金；（4）向监督委员会提供信息的义务。要求企业必须向负责监督合规计划运行和更新的机构报告所有与企业活动有关的信息，切实保护举报人的隐私；（5）纪律处分制度，以惩戒违规行为。（6）定期检查合规计划的实施情况。企业在发现重大违规或者其职能发生变化等适当的情形下，应及时对合规计划进行修正。此外，231 号法令还规定了在犯罪行为发生后，合规计划必须更加具体和结合实际，并且必须特别指出已经确定的风险区域，并提出具体的措施，以预防相同犯罪行为的再次发生。[7] 总之，企业免责的唯一途径是构建有效的合规计划。如果企业能够证明在犯罪发生之前已采用并有效地实施了组织、管理和控制模式，则可以免除责任。该法令实施二十年来，将反腐败合规计划由公共机构扩展至私营企业，规定了合规计划在辩诉交易的适用条件，引入配额制的经济制裁手段等，在实践中进一步自我完善。[8] 此外，许多国际组织也对全面合规体系的有效性评估的标准进行了积极的探索。例如，国际商会《反腐败规则》( 2011年版)详细列出了有效的公司合规计划的16项构成要素，建议公司结合自身情况采用。透明国际的《反贿赂商业原则》为公司制定全面的反贿赂计划提供了制度框架，《商业原则》已被许多全球性公司用来制定反贿赂政策和程序，以及一些国家的执法参考标准。此外，世界银行的《廉政合规指南》等制度对构建全面合规体系有效性评价标准提供了有价值的指引。 （二）中国合规管理有效性评价的实践 中国企业合规管理建设,发轫于金融行业, 随后以政府主导的方式逐渐推广到中央企业和开展境外业务的企业等，其最初的目标在于推动企业从无到有地建立合规管理体系。例如，2007年，银监会和保监会参照巴塞尔银行监管委员会发布的《合规与银行内部合规指引》(Compliance and the Compliance Function in Banks),先后制定了《商业银行合规风险管理指引》和《保险公司合规风险管理指引》等来指导银行和保险业构建合规管理制度。以中国企业海外违规事件频发为导火索，国资委在2018年11月印发了《中央企业合规管理指引（试行）》， [9]以及12月各部委联合印发的《企业境外经营合规管理指引》，[10] 都更侧重于考察一个企业是否建立了合规管理体系。2021年6月，最高检等9家单位于联合印发《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》，第11条仅原则性地要求涉案企业“主要围绕与企业涉嫌犯罪有密切联系的企业内部治理结构、规章制度、人员管理等方面存在的问题，制定可行的合规管理规范，构建有效的合规组织体系，健全合规风险防范报告机制，弥补企业制度建设和监督管理漏洞，防止再次发生相同或者类似的违法犯罪”。在实践中，试点地区的检察机关通常也仅就合规管理的效果评价是进行原则性规定。2022年8月23日，国资委公布了《中央企业合规管理办法》，其中，建立科学合理的合规管理体系有效性评价机制，是该办法强化中央企业合规管理要求的重要方面，也是中央企业进一步完善合规管理体制机制的重点方向。相比于《中央企业合规管理指引》，办法全方位强化了对合规管理体系有效性进行评价的要求，明确规定中央企业应当定期开展合规管理体系有效性评价，针对重点业务合规管理情况适时开展专项评价，并且要强化评价结果运用。[11] 从现有的国内合规管理的相关法律法规层面来看，都更侧重于考察一个企业是否建立了合规管理体系，而对于如何评价该合规管理体系是否有效，这些法规都仅仅做出了原则性地要求， 在构建企业合规计划本土化的过程中,仍然面临着合规计划内容设计是否科学合理,实施举措和检验评价机制是否运用得当,保障机制是否有效等问题。在实施层面上，从作为企业合规“元年”的2018年至今，全部的中央企业、大部分地方国企和开展境外业务的企业已经建立了合规管理体系，企业面临的问题已经从“如何建立合规管理体系”逐渐过渡到为了“合规管理体系怎样执行以及对于其有效性如何进行评估”，从而发现和解决在执行过程中存在的问题，并将其持续改进，以实现合规管理的目的。因此，合规管理有效性评价既是企业评估合规管理效果的必要手段，也是中国合规管理深化的必由之路。可以说，构建中国企业的合规管理有效性评价标准将或已经成为当前和以后很长时间内的中国政府机构和企业完善合规管理的重要目标，其价值和必要性必将日益突显。 （三）构建合规管理有效性评价标准的必要性 正如《中央企业合规管理指引（试行）》第22条中提到的开展合规管理评估工作的要求一样，只有开展“合规管理体系有效性评估”才能不断调整适应内、外部的合规管理要求，通过定期的重复评估风险、控制风险、效果评价等流程，找出合规计划中的漏洞，纠正不合规的行为，不断提升企业的风险防范能力和合规管理水平。如果合规管理体系本身存在重大缺陷，企业的合规努力将会付诸东流；如果得不到有效实施，完美无瑕的合规制度也不过是镜花水月。 1、合规管理有效性评价是合规管理体系的有机组成部分。 合规管理有效性评价是对合规管理体系在督促企业履行合规义务，识别、防范和管理合规风险过程中所发挥的实际效用加以评判的过程，是合规管理评价的核心内容。从《合规管理体系要求及使用指南》（ISO 37301：2021）到《中央企业合规管理办法》，都将合规管理有效性评价作为建设合规管理体系的重点内容之一，而且，通过有效性评价可以发现合规管理体系运行的不足和改善空间，从而寻找改进合规管理的方向，是合规管理能够持续改进和优化的基础。换言之，合规管理的适宜性和充分性，最终都服务于合规管理的有效性这一根本目标。 2、合规管理有效性评价是检验合规管理效果的重要手段。 合规管理有效性评价直接作用于合规管理体系本身，对体系的设计和实际运行、是否真正发挥作用做出评价，有效解决制度设计和执行脱节的管理难题。 而且，开展合规管理有效性评价还可以在发现企业潜在的违规风险，从而为在加强微观层面的合规管控措施提供线索或者方向，有助于实现合规管理惩治和预防的双重功能。 最后，合规管理有效性评价的正面结果，可以起到良好的示范作用，而负面结果则可以起到警示作用。合规管理有效性评价本身最终将推动合规文化的传播，有效促进合规管理深入人心。 3、合规管理有效性评价是合规管理持续改进和优化的主要路径。 合规管理体系有效性评价的核心是通过对企业的合规管理体系进行全面性评价、反馈、再评价的循环过程，从而得出合规管理体系运行是否有效的评价结论。从中可以发现和报告企业在合规管理体系建设和运行中的问题和差距，找出合规管理体系的改进方向，进一步促进企业合规管理体系的完善。所以，有效性评价对提升合规管理体系具有十分重要的意义，是企业合规管理体系持续改进和优化的必由之路。 4、合规管理有效性评价是执法机构依法减轻或免除处罚的重要事实依据。 当企业出现违规事件面临行政或刑事处罚的情形，[12]在行政机关、司法机关的执法压力下，或者在国际组织采取制裁措施的情况下，涉案企业以追求减轻处罚或者取消制裁为目标，针对业已暴露的违法、违规或者犯罪行为，采取有针对性的合规整改措施。企业只有通过打造或者完善有效的针对特定违规行为的合规计划，有效督促员工及第三方遵章守法、积极防范和管控合规风险、最终才能得到执法机关对合规管理有效性的认可从而获得执法机关的宽缓处理。 因此，合规管理体系有效性评估作为企业合规管理体系建设不可或缺的一部分，对于企业形成合规管理长效机制和推动监管机制转变发挥着极为重要的保障作用。 注释： [1]Shaw, Bill. "The Foreign Corrupt Practices Act and Progeny: Morally Unassailable." Cornell Int'l LJ 33 (2000): 689. [2]Tsingou, Eleni. "Governing in the Financial Markets: Understanding Self-Regulation." ISA International Convention, Panel S. 2001. [3]United States v. Zimmer Biomet Holdings Inc., 12-CR-00080 RBW (D.D.C. Jan. 12, 2017). [4]Ministry of Justice：“The Bribery Act 2010-Guidance”，载 https://assets.publishing. service.gov.uk/government/uploads/system/uploads/attachment_data/file/181762/bribery-act-2010-guidance.pdf，2023年5月26日访问。 [5]SFO：https://www.sfo.gov.uk/publications/guidance-policy-and-protocols/guidance-for-corporates/evaluating-a-compliance-programme/ [6]意大利《231号法令》（Legislative Decree No.231/2001-Law 231）。 [7]Sentencing Council：“Fraud，Bribery and Money Laundering Offences Definitive Guideline”， 载 https://www.sentencingcouncil.org.uk/wp-content/uploads/Fraud-bribery-and-money-laundering-offences-Definitive-guideline2.pdf， 2023年5月18日访问。 [8]刘霜：《意大利企业合规制度的全面解读及其启示》， 载《法制与社会发展（双月刊）》， 2022年第1期（总第163期）。 [9] 《中央企业合规管理指引（试行）》第二十二条开展合规管理评估，定期对合规管理体系的有效性进行分析，对重大或反复出现的合规风险和违规问题，深入查找根源，完善相关制度，堵塞管理漏洞，强化过程管控，持续改进提升。 [10]《企业境外经营合规管理指引》第二十七条合规管理体系评价 企业应定期对合规管理体系进行系统全面的评价，发现和纠正合规管理贯彻执行中存在的问题，促进合规体系的不断完善。合规管理体系评价可由企业合规管理相关部门组织开展或委托外部专业机构开展。企业在开展效果评价时，应考虑企业面临的合规要求变化情况，不断调整合规管理目标，更新合规风险管理措施，以满足内外部合规管理要求。 [11]《中央企业合规管理办法》第二十七条中央企业应当定期开展合规管理体系有效性评价，针对重点业务合规管理情况适时开展专项评价，强化评价结果运用。 [12]2022年4月19日，全国工商联、最高检、司法部等九部委联合发布《涉案企业合规建设、评估和审查办法（试行）》（下称“《办法》”）的规定，经评估符合有效性标准的，人民检察院可以依法作出不批捕、变更强制措施、不起诉、提出从宽量刑建议，或者向有关主管机关提出从宽处罚、处分的检察意见。

2023年2月17日，上海证券交易所与深圳证券交易所发出《关于注册制下股票和存托凭证暂不作为股票质押回购及约定购回交易标的证券的通知》，即股票质押回购业务仅对老股股票开放，注册制下的新股股票无法质押。股票质押回购业务作为上市公司大股东的高效融资方式，自2013年开设至今虽然已告别野蛮生长时期，但仍保持着极大规模。据统计，2023年上半年度，A股股票质押共3590笔，质押股数877亿股，质押市值达到9065亿元。 一、股票质押融资业务介绍 股票质押回购是指符合条件的资金融入方以所持有的股票或其他证券质押，向符合条件的资金融出方融入资金，并约定在未来返还资金、解除质押的交易。股票质押融资分为场内质押和场外质押，本文将在二者对比的过程中，着重讨论场外质押的相关业务及法律风险。 （一）场内交易 场内质押是指证券公司根据融入方和融出方的委托向证券交易所综合业务平台的股票质押回购交易系统进行交易申报。中国证券登记结算有限责任公司（简称：中国结算）再依据证券交易所确认的成交结果为股票质押回购提供相应的证券质押登记和清算交收等业务处理服务。场内交易结构图如下： （二）场外交易 区别于场内质押是由证券公司作为主要的资金融出方，场外模式是由银行、信托公司、基金子公司等作为主要的资金融出方，证券公司不得作为融出方参与场外质押。场外交易不需通过交易所系统，而是直接到中国结算办理质押登记，或者通过证券公司远程电子化申报方式办理质押登记。2023年上半年，场内交易占比约45.5%，场外交易占比约54.5%，大致呈现对半分的趋势。场外交易结构图如下： 二、场外质押主要风险及注意事项 场外股票质押回购交易系融入方、融出方通过签署《股票质押回购交易业务协议》（简称：业务协议）建立借贷关系、质押关系，融入方以所持有的股票或其他证券质押给融出方，在融入方不履行到期债务或者发生当事人约定的实现质权的情形，有权就质押证券优先受偿。 （一）相关概念 因上市公司股票价格存在较大波动，为了确保融出方的本金不受损，融入方与融出方在签订业务协议时，须明确股票价格风险预警线及补充担保条款，相关概念如下： 1、质押率：质押率=初始交易金额/质押标的证券市值x100%。例如，甲作为融入方，将市值1亿元的股票质押给券商做股票质押式回购，甲收到的融资款项必然小于1亿元，即甲持有的股票市值在融资时打折了。不同行业、企业由于股票价值波动风险不一致，质押率也有所不同，一般质押率为30%—60%。 2、履约保证比例：指单笔股票质押式回购初始交易与对应的补充质押，在扣除部分解除质押后的标的证券及孳息市值与客户应付金额的比值，可以简化理解为质押证券的市值及孳息与待还融资资金及利息的比值。 3、预警线和平仓线：一般而言，流通股的预警线（质押股票市值/贷款本金×100%）不低于150%，平仓线（质押股票市值/贷款本金×100%）不低于130%；限售股的预警线不低于160%，平仓线不低于140%。当履约保证比例低于预警线，即为触发预警，质押方需要补钱或者补充股权质押；当履约保证比例低于平仓线，即为触发强制平仓。 （二）主要风险及防范 场外质押交易的风险主要包括融资人的信用风险、股权价值波动风险及流动性变卖风险等。在签订业务协议之前，企业可能通过虚增业绩、隐瞒重要信息或提供虚假信息的方式导致融出方处于不利地位。选择场外质押的融资人股权大多存在规模较小、流动性较差、无公开交易价格、估值困难等特点，融出方在签订业务协议时，难以确定合理的质押率及履约担保比例，导致对未来股票价值估值不准而出现融入方违约或双方难以就股票价值达成一致的情形。融入方与融出方协商不成，融出方不得不进入漫长复杂的司法程序维护权益，而场外质押交易股票无法通过证券公司在二级市场直接售出，执行及变现难度极大。 融出方在签订业务协议前，应重点关注标的股份虚假信息风险，调查标的公司经营情况、融资方个人征信、股权集中度及抵押情况。双方在签订业务协议时，应在协议中明确约定当标的股份价值超出预警线或其他某种特定情形时，双方可重新协商定价或增加质押物。建议融出方将标的公司的现金流等财务数据与同行业的其他企业进行比对，特别注意周期性行业及其发展前景。为节省违约处置时间成本，建议融出方在签订业务协议时要求融入方配合进行强制执行公证。 （三）强制执行公证程序 股票质押式回购业务设立之初，业务协议通常按照传统争议解决方式选择在一方出现违约时，通过仲裁、诉讼等方式解决。而在实践中，因交易所规则及上市公司内部程序限制，融出方采用诉讼和仲裁方式程序处置质押标的证券周期冗长、程序复杂，建议融入方与融出方在签订协议后办理强制执行公证，明确业务协议系经公证成为具有强制执行效力的债权文书。当融入方出现违约情形时，融出方可根据《民事诉讼法》第二百四十五条的规定，直接向有管辖权的人民法院申请强制执行，同时融入方放弃对融出方直接申请强制执行的抗辩权。 当然，强制执行公证程序并非完全没有风险，若公证债权文书未载明融入方自愿接受强制执行的承诺，或者出现股票约定价格不明造成给付内容不确定，或者办理公证时程序不合规等，公证债权文书将可能根据《最高人民法院关于公证债权文书执行若干问题的规定》第五条、第十二条的规定被法院裁定不予受理或由被执行人申请不予执行。 三、股票质押业务违约处置路径 相比于场内质押交易可以通过集中竞价、二级市场卖出、由证券公司向交易所提交违约处置申报的方式从场内直接处置，场外交易本质是基于上市公司价值而进行的一项担保融资业务，在没有证券公司操作的情况下，需要通过协商或司法程序予以处置。另外，不论是场内交易还是场外交易，限售流通股的特殊性质决定了限售股一般采取网络司法拍卖方式处置，而场外质押及限售股的违约处置路径通常并不顺畅。 （一）场外质押违约处置 场外交易触发违约处置的条件包括债务人逾期、标的股票收盘价低于预警线且未补仓、标的股价收盘价低于平仓线等。当违约情形出现，质权人可以首先与质押人协商处置股票，并根据《证券质押登记业务实施细则》规定申请中国结算办理质押证券处置过户业务，此种方式仅限于没有瑕疵的无限售流通股；若质权人与质押人协商不成，质权人将通过诉讼、仲裁、强制执行公证、实现担保物权等方式实现质权，根据上文所述，诉讼、仲裁程序处置时间成本较高，因此质权人与质押人在签订协议时办理强制执行公证非常必要。 进入强制执行阶段后，质权人可申请法院冻结证券账户及股利、转增股等账户孳息，同时，为避免相应的资金账户被案外第三人予以首封冻结导致资金无法优先受偿，质权人也应申请冻结证券账户对应的资金账户。当事人在执行阶段达成一致意见的，可采取被执行人自行卖出或和解以股抵债等协商方式处置，否则，只能采取强制执行措施，包括通过托管的证券公司集中竞价、大宗交易强制卖出、强制司法拍卖及强制以股抵债等。 （二）限售流通股质押特别安排 场内交易的限售股质押回购的期限必须大于其剩余限售期，董监高质押比例不应高于其持有的股票数量的25%。而场外交易没有特殊要求，但在违约处置时需遵守有关限售股及减持规则等监管规定。当融入方违约、被质押的限售股进入司法处置阶段时，不同于无限售股票可以通过证券交易所进行股票交易方式变价，执行法院一般采取网络司法拍卖方式处置限售股。需要注意的是，即使限售股在司法拍卖过程中限售期已经届满，由于执行法院无法主动对限售股进行解禁操作，亦无权要求有关机构或上市公司协助解禁限售股，限售股不会因法院的强制执行而改变其股份性质。根据江苏高院《关于执行疑难问题的解答》（苏高法[2018]86号）的处理路径，申请执行人可申请先将限售流通股强制扣划至申请执行人账户，待限售股办理解禁手续转为流通股后再行处置。在此过程中，执行法院视情冻结申请执行人该账户，防止变价款高于执行标的额时申请执行人转移变价款损害被执行人利益。 四、相关规范性文件 与本文探讨的股票质押式回购有关的规范性文件主要有以下几项，可扫描文末二维码进一步查阅： 2023 上交所、深交所：关于注册制下股票和存托凭证暂不作为股票质押回购及约定购回交易标的证券的通知 2020 中证登：证券质押登记业务实施细则（2020修订） 2018 最高院：最高人民法院关于公证债权文书执行若干问题的规定 2018 江苏高院：江苏省高级人民法院关于执行疑难问题的解答 2018 上交所、深交所、中证登：股票质押式回购交易及登记结算业务办法（2018年修订） 2018 上交所、深交所：股票质押式回购交易业务协议必备条款